Handlingsdimensjonen – en brobygger mellom skole, hjem og samfunn?

Em função dos inventários levantados, dos dados recolhidos, finalidades e processos de tratamento, foram, em seguida, elaboradas um conjunto de medidas com vista a implementação de uma política de gestão de privacidade dos dados por desenho e por padrão .

A Política de Privacidade por design and default - por desenho e por padrão- refere-se a um conceito desenvolvido por Ann Cavoukian na década de 1990 no Estado do Ontário e que tem sido adotado nos últimos anos por reguladores de todo o mundo como uma componente essencial da proteção de privacidade65_{. Este conceito tem como visão que} o “futuro da privacidade não pode ser assegurado apenas por conformidades com os quadros reguladores” e de que “a privacidade deve partir de um modo padrão de operação da própria organização” para garantir a segurança e obter uma vantagem competitiva sustentável sobre as outras empresas66_.

A adoção deste modelo, têm sobretudo relevância, nos produtos e nas indústrias ligadas aos equipamentos mobile - aplicações para telemóveis, tablets e outros serviços de internet - onde o desenvolvimento frequente e contínuo de novos produtos deve passar a respeitar em permanência as garantias exigidas pela legislação. Ao contrário, nos sectores de atividade que ofereçam produtos ou serviços mais tradicionais e com ciclos

65 _{Cavoukian, A. (2009). Privacy by Design, The 7 Foundational Principles”. Canada: Information and Privacy Commissioner of}

Ontario.

66 _{Cavoukian, A. (2009). Privacy by Design, The 7 Foundational Principles”. Canada: Information and Privacy Commissioner of}

40 de vida mais longos, como a hotelaria – em que será mais fácil garantir uma aplicação continuada destas regras ao tratamento de Dados Pessoais. Na hotelaria, os serviços são estruturados para respeitarem os requisitos do RGPD e poderão subsistir em conformidade por um período maior de tempo, independentemente de futuros desenvolvimentos e melhorias que venham a ser realizados no âmbito da segurança e proteção da privacidade.

As principais medidas propostas por Ann Cavoukian (2009) visam garantir que as empresas adotem uma abordagem proativa, que garantisse uma proteção incorporada nas tecnologias de informação sem diminuição das funcionalidades dos sistemas de informação de forma a assegurar que todas as partes interessadas operem de acordo com os objetivos declarados e sempre sujeitos a avaliações independentes 67_.

Os princípios da Politica de Privacidade por design and default podem ser aplicados a todos os tipos de informações pessoais, mas devem ser aplicados com especial atenção aos Dados Pessoais sensíveis, como informações médicas ou dados financeiros. Estes princípios são adotados pelo Regulamento Geral de Proteção de Dados de uma forma genérica. Nos termos do artigo 25.º do RGPD, o responsável pelo tratamento aplica, tanto no momento de definição dos meios de tratamento como no momento do próprio tratamento, as medidas técnicas e organizativas adequadas a proteger os direitos dos titulares dos dados. Embora os responsáveis pelos tratamentos sejam obrigados a implementar medidas técnicas e organizacionais para proteger os dados contra o tratamento ilícito, o Regulamento não define quais os requisitos específicos a implementar neste sentido, levantando apenas hipóteses nesse sentido. Uma dessas orientações é a pseudonimização. Nos termos do artigo 4.º do RGPD, pseudonimizar significa tratar os Dados Pessoais “de forma a que deixem de poder ser atribuídos a um titular de dados especifico sem recorrer a informações suplementares, desde que essas informações suplementares sejam mantidas separadamente e sujeitas a medidas técnicas e organizativas para assegurar que os Dados Pessoais não possam ser atribuídos a uma pessoa singular identificada ou identificável”. Este processo pode ser atingido quando os campos de identificação contidos num registo de dados são substituídos por um ou mais identificadores artificiais não permitindo a identificação do titular dos dados.

67 _{Cavoukian, A. (2009). Privacy by Design, The 7 Foundational Principles”. Canada: Information and Privacy Commissioner of}

41 Outro requisito programático do regulamento define que responsável deve aplicar as medidas técnicas e organizativas que permitam assegurar que, por defeito, só sejam tratados os Dados Pessoais que forem necessários para cada finalidade específica do tratamento. Essa obrigação aplica-se à quantidade de Dados Pessoais recolhidos, à extensão do seu tratamento, ao seu prazo de conservação e à sua acessibilidade. Em especial, estas medidas acautelar, que por defeito, os Dados Pessoais não sejam disponibilizados sem intervenção humana a um número indeterminado de pessoas singulares.

Em função do inventário realizado no ponto anterior foram delineadas um conjunto de medidas técnicas e organizacionais que oferecem resposta, nos termos do artigo 25.º do RGPD, aos pressupostos deste princípio.

As medidas propostas para implementação foram:

- A minimização os dados recolhidos e tratados: a avaliação e eliminação de dados e campos de recolha desnecessários (por exemplo, número de filhos, nome de solteira, números de contacto de emergência, hobbies, habilitações, etc.);

- A opção pela pseudonimização dos nomes dos titulares de dados quando não existem dados que permitam ações de marketing ou comunicação (e-mail, telefone);

- A opção pela cifragem68 _{de dados a conservar por períodos mais longos para fins} estatísticos;

- A estipulação dos prazos de eliminação de Dados Pessoais para quando os mesmos atinjam o prazo estipulado e a implementação de ferramentas informáticos que eliminem os dados quando estes deixem de ser necessários para a finalidade que motivou a sua recolha ou tratamento, ou quando o titular retire o consentimento69_;

- A verificação das garantias de confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas e dos serviços de tratamento e a implementação de um processo para testar, apreciar e avaliar regularmente a eficácia das medidas técnicas e organizativas para garantir a segurança do tratamento70_;

- A verificação da necessidade de procedimentos de certificação em matéria de proteção de dados, como selos e marcas de proteção de dados, para efeitos de comprovação da

68 _{A cifragem significa que os dados são codificados de forma a que apenas podem ser lidos por pessoas autorizadas.}

69 _{Nos termos do artigo 89.º n. º1.º Regulamento (UE)) 2016/679 do Parlamento Europeu e do conselho de 27 de abril de 2016} 70 _{Nos termos do artigo 24.º e 32.º do Regulamento (UE)) 2016/679 do Parlamento Europeu e do conselho de 27 de abril de 2016}

42 conformidade das operações de tratamento de responsáveis pelo tratamento e subcontratantes com o regulamento 71_;

- A verificação do sistema de autenticação e do registo das atividades de tratamentos relativos aos seguintes dados72_:

- O nome e contactos do responsável pelo tratamento; - As finalidades do tratamento dos dados;

- A descrição das categorias de titulares de dados e das categorias de Dados Pessoais;

- As categorias de destinatários a quem os Dados Pessoais foram ou serão divulgados, incluindo os destinatários estabelecidos em países terceiros ou organizações internacionais:

- As transferências de Dados Pessoais para países terceiros ou organizações internacionais, incluindo a identificação desses países terceiros ou organizações internacionais e a documentação que comprove a existência das garantias adequadas;

- Os prazos previstos para o apagamento das diferentes categorias de dados; - E o desenvolvimento de uma descrição geral das medidas técnicas e organizativas no domínio da segurança referidas no artigo 32.º, n.º 1 do RGPD.

As medidas propostas de alteração foram enviadas ao departamento de administração e de tecnologias de informação, para validação e posterior implementação.